Embed Notice

HTML Code

<blockquote style="position: relative; padding-left: 55px;"><section><a href="https://infosec.exchange/users/decio/statuses/113640099528814694">:mastodon: decio (decio@infosec.exchange)'s status on Tuesday, 30-Dec-2025 00:23:23 JST</a><a href="https://infosec.exchange/@decio" title="decio@infosec.exchange"><img src="https://gnusocial.jp/avatar/299111-48-20250626135528.webp" width="48" height="48" alt=":mastodon: decio" style="position: absolute; left: 0; top: 0;">:mastodon: decio</a><div><a href="https://infosec.exchange/@decio/113475099224313351" rel="in-reply-to">in reply to</a></div></section><article><p>Workflow d’une campagne d'ingénierie sociale "ClickFix",  distribuant le malware Emmenhtal ( 🧀 ainsi nommé par Orange Cyberdefense :)  <a href="https://www.orangecyberdefense.com/global/blog/cert-news/emmenhtal-a-little-known-loader-distributing-commodity-infostealers-worldwide" rel="nofollow">https://www.orangecyberdefense.com/global/blog/cert-news/emmenhtal-a-little-known-loader-distributing-commodity-infostealers-worldwide</a> ) → Déploie Lumma Stealer </p><p>1️⃣ WordPress compromis : injection d’un JS obfusqué ( <a href="https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22" rel="nofollow">https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22</a> ) pour afficher un faux CAPTCHA uniquement pour les visiteurs Windows.</p><p>2️⃣ Leurrer l’utilisateur : le faux CAPTCHA les incite à copier-coller un code PowerShell.</p><p>3️⃣ Utilisation d’un LOLBIN : ce code utilise l’utilitaire natif mshta.exe pour "jouer" une fausse vidéo  ( <a href="https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content" rel="nofollow">https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content</a> ) via une URL.  </p><p>4️⃣ Payload en arrière-plan : en douce, le code exécute le malware deobfusqué via padding. 🎯</p><p><a href="https://app.any.run/tasks/ece5a78a-fcca-4a38-882a-5b15780cfd53" rel="nofollow">https://app.any.run/tasks/ece5a78a-fcca-4a38-882a-5b15780cfd53</a></p><p><a href="https://any.run/report/9e4edd0173059d3083b1ccde61e43d9db59cb58fc566f0f84778ee5ec844e515/ece5a78a-fcca-4a38-882a-5b15780cfd53" rel="nofollow">https://any.run/report/9e4edd0173059d3083b1ccde61e43d9db59cb58fc566f0f84778ee5ec844e515/ece5a78a-fcca-4a38-882a-5b15780cfd53</a></p><p><a href="https://infosec.exchange/tags/CyberVeille" rel="tag">#CyberVeille</a> <a href="https://infosec.exchange/tags/ClickFix" rel="tag">#ClickFix</a></p></article><footer><a rel="bookmark" href="https://gnusocial.jp/conversation/6002083#notice-11810488">In conversation</a><time datetime="2025-12-30T00:23:23+09:00" title="Tuesday, 30-Dec-2025 00:23:23 JST">about 10 months ago</time> <span>from <span><a href="https://infosec.exchange/@decio/113640099528814694" rel="external" title="Sent from infosec.exchange via ActivityPub">infosec.exchange</a></span></span><a href="https://infosec.exchange/@decio/113640099528814694">permalink</a><h4>Attachments</h4><ol><li><label><a rel="external" href="https://gnusocial.jp/attachment/5613922">L’image représente une fausse interface CAPTCHA utilisée dans des campagnes malveillantes. Elle demande à l’utilisateur de prouver qu’il n’est pas un robot en suivant trois étapes : appuyer sur Windows + R, coller un code fourni via Ctrl + V dans la fenêtre qui s’ouvre, puis appuyer sur Entrée. Une case à cocher "I am not a robot" est déjà cochée, donnant un aspect légitime à l’ensemble. Un gros bouton bleu "VERIFY" invite à valider l’action. Cette ruse vise à inciter l’utilisateur à exécuter un script PowerShell malveillant déguisé en étape de vérification.</a></label><br><a href="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/639/615/406/471/903/original/f9fef1a550e7757a.jpg" rel="external">https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/639/615/406/471/903/original/f9fef1a550e7757a.jpg</a></li><li><label><a rel="external" href="https://gnusocial.jp/attachment/5613923">Schéma du workflow d’attaque (source:Orange Cyberdefense)
Le schéma illustre les étapes d’une attaque utilisant des sites compromis et des outils natifs de Windows (LOLBINs). Un site de téléchargement de vidéos invite à cliquer sur "Download movie", redirigeant vers un serveur WebDAV. Un fichier .lnk exécute un script PowerShell, qui utilise mshta.exe pour charger un fichier HTA. Ce fichier contient un code malveillant dissimulé dans un padding légitime, déclenchant une chaîne d’exécution : JavaScript malveillant, décryptage et téléchargement du malware final (ex. Lumma Stealer). L’objectif est le vol d’informations sensibles via ces étapes discrètes.</a></label><br><a href="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/639/615/952/887/576/original/f97a0de538503041.png" rel="external">https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/639/615/952/887/576/original/f97a0de538503041.png</a></li><li><label><a rel="external" href="https://gnusocial.jp/attachment/5613924">Untitled attachment</a></label><br></li><li><article><header><div>No result found on File_thumbnail lookup.</div><h5><a href="https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22">Search - urlscan.io</a></h5><div> from <span>urlscan.io</span></div></header><div>urlscan.io - Website scanner for suspicious and malicious URLs</div><footer></footer></article></li><li><article><header><div>No result found on File_thumbnail lookup.</div><h5><a href="https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content">VirusTotal</a></h5><div></div></header><div>VirusTotal</div><footer></footer></article></li></ol></footer></blockquote>

Corresponding Notice

Embed this notice
:mastodon: decio (decio@infosec.exchange)'s status on Tuesday, 30-Dec-2025 00:23:23 JST :mastodon: decio
in reply to
Workflow d’une campagne d'ingénierie sociale "ClickFix", distribuant le malware Emmenhtal ( 🧀 ainsi nommé par Orange Cyberdefense :) https://www.orangecyberdefense.com/global/blog/cert-news/emmenhtal-a-little-known-loader-distributing-commodity-infostealers-worldwide ) → Déploie Lumma Stealer
1️⃣ WordPress compromis : injection d’un JS obfusqué ( https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22 ) pour afficher un faux CAPTCHA uniquement pour les visiteurs Windows.
2️⃣ Leurrer l’utilisateur : le faux CAPTCHA les incite à copier-coller un code PowerShell.
3️⃣ Utilisation d’un LOLBIN : ce code utilise l’utilitaire natif mshta.exe pour "jouer" une fausse vidéo ( https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content ) via une URL.
4️⃣ Payload en arrière-plan : en douce, le code exécute le malware deobfusqué via padding. 🎯
https://app.any.run/tasks/ece5a78a-fcca-4a38-882a-5b15780cfd53
https://any.run/report/9e4edd0173059d3083b1ccde61e43d9db59cb58fc566f0f84778ee5ec844e515/ece5a78a-fcca-4a38-882a-5b15780cfd53
#CyberVeille #ClickFix
In conversationabout 10 months ago from infosec.exchangepermalink
Attachments

Public

Embed Notice

HTML Code

Corresponding Notice